第二届“陇剑杯”网络安全大赛预选赛WP-数据分析-baby_forensics

发布于 2023-09-20  458 次阅读


赛事简介:

“陇剑杯”已被公安部网安局确定为与“网鼎杯”“天府杯”之后的全国第三大网络安全赛事,是全国同类赛事中首次引入“人工智能人机对抗”,首个“以防为主”的网络安全大赛。“陇剑杯”与“网鼎杯”一样隔年举办,“陇剑杯”在“网鼎杯”的次年举办,参加“陇剑杯”获得前9名的队伍直接进入“网鼎杯”半决赛。2021年已成功举办一届,共吸引了全国31个省、市、自治区和各个行业的3020支战队,11135人报名参赛,同时还邀请4名院士专家及来自国家部委、省委省政府、省直厅局及中央驻甘机构、知名互联网企业的400余名嘉宾出席网络高峰论坛。

第二届“陇剑杯”网络安全大赛将以“共筑网络安全 守护数字经济”为主题,以实景防御、大数据分析、人工智能安全等综合防御能力提升为目标,打造高规格、高标准、高水平的全国性网络安全赛事活动,为助推地区网络安全、数字产业、经济社会高质量发展注入强大动力。

baby_forensics

问题1


这道题附件给的是一个vmdk和一个raw文件

这里使用Volatility取证工具来分析
首先kali下载Volatility3
git clone https://github.com/volatilityfoundation/volatility3.git
接着附件两个文件拷贝进kali中
接着
python3 vol.py -f /home/kali/Desktop/baby_forensics.raw windows.info

这里我们可以看到系统是win7sp1
第一题问的是磁盘中的key
执行下面的命令
python3 vol.py -f /home/kali/Desktop/baby_forensics.raw windows.filescan.FileScan

拷贝出来检索关键词key

到这儿做不下去了--因为Volatility3没有直接支持转储指定虚拟地址的文件的功能
只能被迫换Volatility2
git clone https://github.com/volatilityfoundation/volatility.git
sudo python2 setup.py install
直接接着上面做
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 dumpfiles -Q '0x3df80070' -D .
成功导出文件,查看内容

发现有加密,直接解密工具批量看一下

成功找到key

问题2


后面也都用Volatility2来做了
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 windows > dump
导出后直接notepad++搜索calc.exe

成功找到结果7598632541
也可以
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 pslist

python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 memdump -p 2844 -D .
然后改后缀为data
使用gimp打开
调整宽高和偏移

问题3

进程看到一个程序

继续dump出来
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 memdump -p 2968 -D .
还是改后缀,拉到gimp中分析
找到一串字符串

U2FsdGVkX195MCsw0ANs6/Vkjibq89YlmnDdY/dCNKRkixvAP6+B5ImXr2VIqBSp94qfIcjQhDxPgr9G4u++pA==
直接解密解不开,应该有密钥
搜索关键词key,k3y,K3y
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 filescan | grep "k3y"

dump出来看看
python2 vol.py -f /home/kali/Desktop/baby_forensics.raw --profile=Win7SP1x64 dumpfiles -Q '0x000000003ef3a310' -D .

直接在线解密

成功获取flag

届ける言葉を今は育ててる
最后更新于 2023-09-20